有關私立大學是否受《資通安全管理法》管轄與對應的資通安全義務說明

雖然私立大學在法律性質上屬於「非公務機關」，但教育部已明確指示，全國私立大學一律比照「C級之特定非公務機關」納入資安法管轄範疇。因此，私立大學必須依法履行對應的資通安全義務。
私立大學在資安與個資法規上的定位與核心規範如下：
1. 在《資通安全管理法》下的定位：C級非公務機關
  • 法規身分： 屬於資安法規定的「特定非公務機關」。
  • 責任等級： C級。
  • 核心應辦事項：
    • 必須編列並實施「資通安全維護計畫」。
    • 發生資安事件時，必須依限完成通報與應變（例如限制時間內向教育部通報）。
    • 每年教職員、資訊人員與資安人員必須完成法定的資安教育訓練時數：
  • 法規依據：
  1. 依據教育部指示私立大學比照C級之非公務機關之規定，本校資通安全等級為C級。
  2. 依據「資通安全管理法」之「資通安全責任等級分級辦法」之「附表六 資通安全責任等級C級之非公務機關應辦事項」要求「認知與訓練」面向「資通安全教育訓練」事項辦理。
  3. 符合高教深耕計畫資安專章對各類人員之教育訓練要求。
  • 時數要求：機關應依機關資安等級要求取得訓練時數。
  1. 資通安全專職(責)人員：每人每年至少接受12小時以上之「資通安全專業課程訓練」或「資通安全職能訓練」。
  2. 資通安全專職(責)人員以外之資訊人員：每人每2年至少接受3小時以上之「資通安全專業課程訓練」或「資通安全職能訓練」，且每年接受3小時以上之「資通安全通識教育訓練」。
  3. 一般使用者及主管：每人每年接受3小時以上之「資通安全通識教育訓練」。
  • 人員類別：
  1. 資通安全專職人員：指應全職執行資通安全業務者。
  2. 資訊人員：泛指機關資訊單位所屬人員或業務單位所屬人員並從事資通系統自行或委外開發、維運者。(單位自行委外採購資通系統之承辦人或管理者即屬資訊人員)
  3. 一般使用者及主管：除包含機關組織編制表內人員外，尚包含得接觸或使用機關資通系統或服務之各類人員。
2. 同時受《個人資料保護法》及教育部專屬辦法管轄
除了資安法，私立大學因為保有很多學生、教職員與校友的個人隱私資料，更是《個人資料保護法》重點規範的「非公務機關」。教育部為此特別訂有專屬的管理辦法：
圖書暨資訊處